编者按：以下为数据安全软件供应商 Exterro 全球合作伙伴与联盟副总裁 Michael Meehan 的客座文章。

过去几个月里，我与十几个不同的合作伙伴进行过类似版本的对话。一位客户对 AI 兴奋不已，行动迅速，如今却在私下询问，是否真的有人知道它在其环境中到底在做什么。通常答案是“不知道”，而且通常没人愿意在指导委员会会议上大声说出来。

AI 部署与治理之间的脱节，并不是企业能够自行成长摆脱的问题。它正逐渐成为当前 AI 周期的决定性风险，也可能成为十年来渠道最好的服务机会。

有一段时间，这种 AI 控制缺口大多只是轶事——合作伙伴和 IT 领导者随口提及，通常还耸耸肩。现在，这背后已经有了数据支撑。 IBM 最近调查了 2,000 名 CIO 和 CTO，发现 70% 的人认为 AI 的部署速度超过了其团队的追踪能力，77% 的人表示采用速度已经超过了他们的治理能力。大多数企业 IT 组织的领导者承认，他们已经失去了对自己 AI 足迹的追踪。

思科 2025 年 AI 就绪指数 基于对 8,000 多名高级企业领导者的调查，补充了另一个相关数据点。只有 13% 的组织符合 AI“领跑者”的资格，即拥有基础设施、技能和治理成熟度，能够真正负责任地扩展 AI 的小部分群体。治理在那项研究中并非脚注。它是思科用来评估 AI 就绪度的核心支柱之一。

这两项研究似乎表明，当前企业 AI 的制约因素不是模型质量、算力，甚至不是预算。而是控制。没有人苦于找不到可部署的 AI 工具。他们苦于不知道已经部署了什么。

我们是如何走到这一步的

这一切未必是因为组织鲁莽行事。这是各个团队解决各自问题的速度快于治理跟进速度的可预见结果。

一个营销团队开始使用生成式 AI 工具起草内容。一位财务分析师把数字粘贴到聊天机器人中以节省时间。一位工程师开始使用安全部门无人审核过的 AI 编码助手。这些人都不认为自己做了什么错事，单独来看，也许确实没有。但将其乘以几千名员工和十几个部门，最终就会形成一个 IT、法务或合规部门在被问及时都无法准确描述的 AI 足迹。

一些客户将其描述为“AI 疲劳”，这或许是个恰当的术语。总的来说，人们并不反对 AI，但自上而下快速采用的压力与基层现实之间存在差距。在受监管行业，审批周期需要三到六个月。现有的治理框架往往早于生成式 AI 出现。而员工却被要求快速推进使用无人向他们充分解释过的工具。糟糕的一致性将很大一部分 AI 使用推向阴影之中，无人看管。

这种做法正变得越来越昂贵。 安永 2025 年负责任 AI 研究 发现，其调查的组织中有 99% 已经经历过与 AI 相关风险有关的财务损失，其中 64% 的损失超过一百万美元，平均损失超过 400 万美元。该专业服务公司去年六月调查了近 1,000 名高管。

法院开始将 AI 提示和输出视为可发现的证据 在诉讼中，这意味着大多数员工目前使用 AI 的非正式、无治理的方式正在制造无人管理的法律记录。再加上欧盟 AI 法案等监管框架，风险不再是假设性的。

渠道的角色

企业知道 AI 治理是个问题，但大多数企业没有内部专业知识或精力自行解决。这正是渠道的用武之地。

在过去二十年的大部分时间里，合作伙伴通过销售和管理基础设施——服务器、云、存储、许可——来赚钱。这项业务不会消失，但它在演变。客户并不缺少 AI 工具，但他们缺少一个能走进会议室回答更难问题的人：这实际上触及了哪些数据？如果它出了错，谁负责？如果监管机构或对方律师来询问，我们能证明发生了什么吗？

能够回答这些问题的合作伙伴不再看起来像供应商，而开始看起来像客户在下一次推广之前就会打电话的人，而不是在出了问题之后才找的人。

这不需要新的商业模式。但这确实意味着扩展大多数合作伙伴已经在进行的对话。

从诚实的盘点开始。大多数组织从未根据其现有数据分类标准，梳理过 AI 在其环境中的运行位置。这是一种评估实践，通常是最容易的切入点。客户更愿意为诊断付费，而不是为他们尚不知道自己需要的解决方案付费。

政策工作是自然的下一步。告诉员工负责任地使用 AI 并不是政策。合作伙伴可以帮助构建有牙齿的东西：具体的获批平台、关于哪些数据可以或不可以进入提示的明确规则、出错时明确的升级路径。然后，帮助执行它，这是客户独自难以做到的。

围绕调查准备的需求也在增长。组织需要重建 AI 工具做了什么、何时做的以及为什么，并有人能够在事后解释和辩护结果。对于在安全和合规领域相邻工作的合作伙伴来说，这是相当短的一步。

治理必须是持续性的。它需要定期审查、人在回路中的检查，以及一个能让法务、合规和 IT 获得共同视图的共享资源。AI 商业模式正存在于此。与部署这种一次性项目不同，治理是持续进行的。AI 的演进速度持续快于围绕它的政策，因此监督需求会不断自我更新。

先发优势

这还算不上抢地盘，但已经很接近了。目前大多数企业还没有 AI 治理方面的首选合作伙伴。谁赢得信任来填补控制缺口，谁就会成为客户不断回访的顾问。

等待治理框架标准化，或等待客户明确要求这一点，是错误的打法。IBM 和 Cisco 的数据并不是在预测未来的风险。它们描述的是大多数企业今天的处境。

你不需要一夜之间变成合规专家店。评估和政策工作直接建立在大多数合作伙伴已在安全与数据管理方面具备的技能之上。你可以把这些能力转向 AI 工作，而且你很可能有一些客户账户中，CIO、总法律顾问或合规部门的某个人曾顺带提到 AI 风险，却不太知道该怎么处理。这些交易更容易成交，因为客户已经知道自己有问题。

董事会和高管已不再仅仅因为 AI 活动本身而印象深刻。他们想知道它正在创造价值，同时没有悄然制造他们日后必须为之负责的风险。

能够成功扩展 AI 的企业，未必是运行最先进模型的企业。它们将是那些能够向董事会、监管机构或自身领导层解释其 AI 在做什么、以及为什么他们能够为其背书的企业。这种能力不会随任何平台一同交付。必须有人来构建它，而越来越多情况下，这个“有人”将是合作伙伴。

IBM 和 Cisco 所描述的控制缺口并不是快速采用过程中的暂时副作用；它就是这一市场未来十年的形态，正在大多数行业仍专注于部署速度之时形成。那些尽早认识到这一点、并在其成为基本门槛之前开始将治理纳入服务栈的合作伙伴，将不只是增加一条新的收入线。他们将改变与客户关系的性质，从供应商变为顾问，而且一旦确立，其他人很难逆转。

这就是当下摆在渠道面前的机会。下一个问题是：谁会率先行动？